De første timer efter et ransomwareangreb: hvad gør I?
Når skærmene viser en løsesumsbesked, er de første timer afgørende for, hvor stor skaden bliver. Denne artikel samler myndighedernes råd i en rækkefølge, en lille virksomhed kan følge.
Afbryd de ramte computere fra netværk og internet, men lad dem stå tændt, så sporene ikke forsvinder. Følg jeres beredskabsplan, kontakt jeres IT-partner eller et IT-sikkerhedsfirma, og kommunikér via telefon frem for mail. Anmeld angrebet til politiet på 114, og vurder hurtigt, om persondata er berørt – så skal Datatilsynet som udgangspunkt have besked inden 72 timer. Myndighederne fraråder at betale løsesum.
Kort fortalt
- Isolér ramte enheder fra alle netværk – men sluk dem kun som sidste udvej.
- Brug telefon til koordinering; angriberen kan læse med i mail og chat.
- Sikr spor før oprydning, og slet intet, før I har talt med politiet.
- Brud på persondatasikkerheden anmeldes via virk.dk, som udgangspunkt inden 72 timer.
De første 30 minutter: stop spredningen
Center for Cybersikkerhed (CFCS) anbefaler at isolere alle inficerede enheder ved at afkoble dem fra alle netværk – også enheder, der har været forbundet med de inficerede. Sikkerdigital.dk og politiet er enige: Afbryd computeren fra internettet og virksomhedens netværk, men lad den stå tændt.
Grunden er, at en tændt computer kan have vigtige spor i hukommelsen (RAM), som forsvinder, når den slukkes. Det amerikanske CISA beskriver det samme: Sluk kun, hvis der ikke er andre måder at afbryde forbindelsen på. Er mange maskiner ramt, kan det være nødvendigt at tage hele netværket offline, fx ved at afbryde switchen.
- Træk netværkskablet ud, og slå Wi-Fi fra på de ramte computere.
- Afbryd forbindelsen til netværksdrev, NAS og eksterne diske, der stadig er koblet til.
- Lad maskinerne stå tændt, og lad være med at logge ind eller rydde op på dem.
- Skriv klokkeslæt ned: hvornår blev det opdaget, af hvem, og hvad så man på skærmen.
Vær opmærksom: Undgå at koordinere via mail, Teams eller andre systemer, der kan være kompromitterede. CISA anbefaler at bruge kanaler uden for det ramte miljø, fx telefonopkald, så angriberen ikke opdager, at I er i gang.
Hvem I ringer til – og i hvilken rækkefølge
CFCS anbefaler at følge beredskabsplanen eller drejebogen, hvis den findes, og ikke træffe drastiske beslutninger uden overvejelse. Har I ingen plan, er dette en rimelig rækkefølge:
| Hvem | Hvorfor | Hvordan |
|---|---|---|
| Ledelsen | Beslutninger om drift og kommunikation | Telefon |
| IT-partner eller IT-sikkerhedsfirma | Afgrænse, inddæmme og genetablere | Telefon, aftalt nummer |
| Politiet | Anmeldelse og vejledning om spor | 114 eller politi.dk |
| Cyberforsikring, hvis I har en | Krav til forløb og hjælp | Policens skadenummer |
| Cyberhotline for digital sikkerhed | Gratis vejledning | 33 37 00 37 |
Politiet: anmeld hurtigt – sporene forsvinder
Ifølge Sikkerdigital.dk kan cyberangreb anmeldes via politi.dk eller ved at ringe 114. På hverdage mellem kl. 7 og 20 kan man via 114 blive viderestillet til personale med særlig viden om cyberangreb. Anmeld hurtigst muligt, fordi digitale spor ofte bliver overskrevet. Hvis I tror, at angriberen stadig er aktiv i netværket, skal I sige det tydeligt.
Politiet ønsker en fast kontaktperson fra ledelsen eller en med IT-indsigt og mandat til at træffe beslutninger. Politiet står ikke for at genetablere systemerne – det skal jeres IT-partner eller et IT-sikkerhedsfirma gøre.
Sikkerdigital.dk anbefaler at kontakte politiet, før I sletter data, der kan indeholde spor, så I kan aftale, hvad der må slettes.
- Løsesumsbeskeden og al kommunikation med angriberen.
- Tre krypterede filer – helst uden personoplysninger.
- Kryptoadresser, som angriberen har oplyst.
- Logfiler fra firewall, router og netværksudstyr samt fra sikkerhedssoftware.
- Kopier af ramte computere og servere – jeres IT-partner kan hjælpe med at tage dem korrekt.
Persondata og indberetninger: fristerne løber fra første dag
Har angrebet ramt personoplysninger – fx kunders, patienters eller medarbejderes – er der tale om et brud på persondatasikkerheden. Datatilsynet skriver, at den dataansvarlige skal anmelde bruddet uden unødig forsinkelse og om muligt inden 72 timer, medmindre det sandsynligvis ikke indebærer en risiko for de berørte personer. Anmeldelsen sker via en formular på virk.dk, og den kan suppleres senere. Gem en kopi af anmeldelsen, fordi Erhvervsstyrelsen sletter den efter 30 dage.
Er virksomheden omfattet af NIS 2-loven, skal en væsentlig hændelse varsles via virk.dk senest 24 timer efter, at I har fået kendskab til den, efterfulgt af en hændelsesunderretning senest efter 72 timer og en endelig rapport senest en måned efter. Ifølge Styrelsen for Samfundssikkerheds vejledning kan alle virksomheder – også dem, der ikke er omfattet – underrette frivilligt via virk.dk.
Ransomware betyder i dag ofte, at angriberen også har kopieret data og truer med at offentliggøre dem. Gå derfor ikke ud fra, at der ikke er tale om et persondatabrud, blot fordi I kan gendanne fra backup.
Vær opmærksom: Artiklen er en praktisk vejledning, ikke juridisk rådgivning. Hvilke pligter der gælder for jer, afhænger af jeres branche, og om I er omfattet af NIS 2-loven. Kilderne er datatilsynet.dk, samsik.dk og sikkerdigital.dk.
Skal vi betale løsesummen?
CFCS anbefaler, at der ikke betales løsesum. Begrundelsen er, at betaling bekræfter, at ransomware virker, at der ingen garanti er for at få fungerende dekrypteringsnøgler, og at angriberen ikke nødvendigvis forlader systemerne – hvilket kan øge risikoen for et nyt angreb. Der kan også være juridiske og omdømmemæssige konsekvenser.
Før I overvejer noget som helst andet, så tjek nomoreransom.org, som Europol driver sammen med partnere, herunder Rigspolitiet. Her kan man uploade to krypterede filer og få et gratis dekrypteringsværktøj, hvis der findes et til den pågældende type ransomware.
Efter de første timer: kontrolleret genetablering
Når situationen er under kontrol, handler det om at finde ud af, hvordan og hvornår angriberen kom ind, og at lukke den vej. CFCS anbefaler derefter en kontrolleret genetablering fra backup, der ikke er inficeret, og en komplet geninstallation af systemerne frem for at forsøge at rense dem.
CFCS beskriver en fremgangsmåde, hvor berørte systemer startes op enkeltvis på et isoleret netværk, data og konfigurationer indlæses fra backup, systemerne kontrolleres, og der tages en ny backup, før de flyttes tilbage til det almindelige netværk. Herefter overvåges netværket for tegn på, at angrebet fortsætter.
Eksempel: En virksomhed har backup, men den seneste kopi blev taget efter, at angriberen var kommet ind. Derfor gendannes fra en ældre kopi, og de seneste dages arbejde genskabes manuelt fra mails og papirer. Det er grunden til, at CFCS anbefaler flere generationer af backup, der går langt tilbage.
Forbered de første timer, før de kommer
Det meste af det ovenstående er svært at finde ud af under pres. Sikkerdigital.dk har en gratis skabelon til en nødplan for virksomheder med under 50 ansatte, som anbefales printet, gennemgået på personalemøder og øvet en gang om året. CFCS anbefaler desuden at tage backup, der opbevares adskilt fra driften med en kopi offline, og at teste, at den kan bruges til genetablering.
- En printet kontaktliste: IT-partner, forsikring, ledelse, nøglepersoner og leverandører.
- Afklarede roller: hvem må beslutte at afbryde netværket, og hvem taler med politi og presse?
- En prioriteret liste over, hvilke systemer der skal op først.
- Backup med en kopi offline eller i uforanderlig form – og en dato for sidste gendannelsestest.
- En aftale med jeres IT-partner om, hvad der sker uden for åbningstid.
Godt at vide: Læs også om IT-beredskabsplanen og opslaget om ransomware i IT-ordbogen.
Spørgsmål og svar
Skal vi informere vores kunder?
CFCS anbefaler at overveje at informere kunder og samarbejdspartnere, der kan blive berørt. Er personoplysninger ramt, skal I også tage stilling til, om de berørte personer skal have besked – Datatilsynet kan tage stilling til det, hvis det ikke er sket. Afklar det tidligt.
Hvad hvis kun én computer er ramt?
Sikkerdigital.dk skriver, at det ofte kan løses ved at afkoble computeren fra internet og netværk og derefter nulstille og gendanne den. Få dog afgjort, om angrebet har spredt sig, før I konkluderer, at det kun er én maskine.
Kilder (tjekket oktober 2026): Vejledning: Reducer risikoen for ransomware (2. udgave, april 2023) – Center for Cybersikkerhed / Styrelsen for Samfunds · Hvad skal du gøre, hvis du er ramt af ransomware? – Sikkerdigital.dk · Minimer skaden og stop angrebet – Sikkerdigital.dk · Du kan anmelde cyberangreb til politiet – Sikkerdigital.dk · Sådan sikrer du beviser ved cyberangreb – Sikkerdigital.dk · Nødplan ved cyberangreb – Sikkerdigital.dk · Cyberhotline for digital sikkerhed – Sikkerdigital.dk · Anmeld sikkerhedsbrud – Datatilsynet · Vejledning til NIS 2-loven: hændelsesunderretning (2025) – Styrelsen for Samfundssikkerhed · I've Been Hit By Ransomware! – CISA
Ved I, hvad I gør i morgen kl. 8, hvis det sker?
I en gratis IT-gennemgang ser vi på jeres backup, adgange og beredskab og hjælper jer med at gøre de første timer efter et angreb til en plan frem for et gæt.
